四大的系统审计之我见

dzha027

在下和楼主的工作经历几乎相同，全部在海外。感觉外审的IT部分深度确实有限。但目前一个很有意思的趋势是四大重回咨询业（是从传统审计业务中再生，即使是德勤内部也是ERS，分开独立于consulting). 我的经历还是让我学到了很多，几个ISO17799 具体control级别的实施项目让人获益匪浅。同时在senior manager级别也有趋势在吸收一些专家。不知国内情况是否有相同趋势。

zjp302

支持，并拜师

eyunbo

四大的审计员有时很较真，有时又特别好糊弄，这与他们不顾审计对象的差别采用呆板的审计方法有关，也与他们技术太粗有关。

rockyin58

总之，确实还是要宽容些，因为技术更新实在太快了。我在IT 公司做保险公司方面的系统软件咨询，售前。稍有感受。希望将来网四大的系统审计方面转。

rockyin58

谦虚。向学。

walkincloud

做了7年了……我说说看吧。

学IT的，但是没有直接做IT审计，而是做内部控制审计，后来接触IT审计，坦白说IT审计就算是个学英语的一样做。

这里没有鄙视IT工程师的意思，毕竟我也是学这个的。

请注意的是IT审计重点不是IT，而是审计。希望大家理解审计的理念。而目前比较好的审计观点就是风险导向性，也就是说不论是财务、流程、还是IT的运作，我们审计的时候看的是风险。通俗说就是造成不良后果的可能性。

说回IT，我们审计的时候看的是客户对IT方面的控制力，防范能力、监督措施等。当然四大审计通常会设计好一个模板，而一般做审计的时候，通常也是个小朋友，问一些死板的问题罢了。但是我们的客户通常看不到背后的工作，比如事后我们对这些发现的分析，我们需要考虑这些系统上的安全问题是否对财务审计产生影响。打个比方来说，一个公司的密码政策没有设置，很简单的一个问题，但是我们要把这个问题和财务系统链接，也要考虑如果没有密码，是不是会做很多不好的事情，那么我们财务审计的同事是不是拿不到可靠的数据，等等。

我们做审计，不会问很多技术性问题，例如你的数据库配置了多少缓存，你的操作响应时间是多少，因为这些与我们关心的事情无关。

四大做IT审计也各有风格，这个我就不好说了，如果您碰巧是系统工程师，又碰巧碰到一个很不爽的审计师，希望你BS这个人就可以了，不要BS整个行业！

jerryhero

gargoyle

说的好。

bjhotsky

作为被审方需要理解IT外审和咨询是有区别的。咨询顾问在项目时间和成本的控制下，更多关注的是尽可能快地实现上线，因此不会特别关注风险控制（除非客户方有对内控或合规在行的人员提出相关要求）。外审师短时间也不可能对业务系统有很细致的了解，因此基本也是参照模版进行相关测试。四大里面是有专家，但是和IT专家一样，不可能精通所有的，况且不是每个项目都会有专家参与，鱼目混珠很正常，所有的出发点都要基于项目预算。本人觉得无论做外审还是做顾问，真正有价值是找到IT和业务的结合点，给客户提出合理的整改意见，通过业务流程控制来实现降低合规或内控成本的目标，这样才会达到外审与客户的相对和谐：）。

walkincloud

和谐，和谐很重要~~哈哈